Door Named: Het hele idee van Certificate Authorities is achterhaald nu alles praktisch domein gevalideerd is. Omdat OV en EV praktisch verdwenen is, dient een certificaat enkel nog om de TLS verbinding te beveiligen. En dit systeem introduceert extra kwetsbaarheden bovenop de registrar en webserver zelf: - Alle Certificate Authorities. (CAA en CT zijn lapmiddelen) - De internet verbinding tussen de server en CA. (Certificaat via HTTP challenge) - De internet verbinding tussen de DNS en CA. (Certificaat via DNS challenge, indien geen DNSSEC) Ik denk dat DNSSEC+DANE dit probleem oplost omdat dat de hele CA middle-man eruit sloopt. Beetje een zucht. Raar dat je een CA domein validatie via DNS niks vindt, maar wel warm loopt voor een cert-validatie via DNS(sec). Vooral omdat DNSSec ook een ontzettend natuurlijke fallback naar dns-zonder-sec heeft, een typisch door de (provider) resolver gedaan wordt. DANE komt gewoon uit de koker van de old skool internet anarchisten die per definitie jeuk krijgen van ...